Jwt
会话技术
①cookie
缺点:app端无法使用,存储在客户浏览器中不安全。
②session
缺点:服务器集群的状态下无法直接使用session。
③jwt(存在于客户端。可存在于集群中)
Jwt实现
执行流程:
浏览器发出请求,登录成功后,生成jwt,判断身份是否合法。响应数据时,将jwt发给前端。
在后续的每一次请求中,都需要将令牌携带到服务端。如果令牌有效就证明已经登录,失效未登录。
同一次会话的多次请求,共享数据时,将共享的数据存储在令牌中就可以了。
jwt包含的三部分:
三部分:header(加密算法)、载荷(用户信息、过期时间)、签名(防止篡改)
jwt的使用:
①导入依赖
<!--JWT令牌-->
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.1</version>
</dependency>
②导入JwtUtils工具类
public class JwtUtils {
private static String signKey = "xxx";
private static Long expire = 43200000L;
/**
* 生成JWT令牌
* @param claims JWT第二部分负载 payload 中存储的内容
* @return
*/
public static String generateJwt(Map<String, Object> claims){
String jwt = Jwts.builder()
.addClaims(claims)
.signWith(SignatureAlgorithm.HS256, signKey)
.setExpiration(new Date(System.currentTimeMillis() + expire))
.compact();
return jwt;
}
/**
* 解析JWT令牌
* @param jwt JWT令牌
* @return JWT第二部分负载 payload 中存储的内容
*/
public static Claims parseJWT(String jwt){
Claims claims = Jwts.parser()
.setSigningKey(signKey)
.parseClaimsJws(jwt)
.getBody();
return claims;
}
}
③生成jwt
判断是否登录成功,如果登录成功则生成jwt
@PostMapping("/login")
public Result login(@RequestBody Emp emp){
Emp e = empService.login(emp);
//登录成功 发送令牌
if (e != null){
Map<String, Object> claims = new HashMap<>();//创建载荷
claims.put("id", e.getId());
claims.put("name", e.getName());
claims.put("username", e.getUsername());
String jwt = JwtUtils.generateJwt(claims); //jwt令牌包含了当前登录的员工信息
return Result.success(jwt);
}
//用户为空, 返回错误信息
return Result.error("用户名或密码错误");
}
④定义拦截器
@WebFilter(urlPatterns = "/*")
public class DemoFilter implements Filter{
@Override //初始化方法, 只调用一次
public void init(FilterConfig filterConfig) throws ServletException {
System.out.println("init 初始化方法执行了");
}
@Override //拦截到请求之后调用, 调用多次
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
System.out.println("Demo 拦截到了请求...放行前逻辑");
//放行
chain.doFilter(request,response);
System.out.println("Demo 拦截到了请求...放行后逻辑");
}
@Override //销毁方法, 只调用一次
public void destroy() {
System.out.println("destroy 销毁方法执行了");
}
}
因为拦截器是servlet技术,需要在启动类中添加注解
@ServletComponentScan //开启了对servlet组件的支持
⑤filter登录校验
@Slf4j
@WebFilter(urlPatterns = "/*")
public class LoginCheckFilter implements Filter {
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse resp = (HttpServletResponse) response;
//1.获取请求url。
String url = req.getRequestURL().toString();
log.info("请求的url: {}",url);
//2.判断请求url中是否包含login,如果包含,说明是登录操作,放行。
if(url.contains("login")){
log.info("登录操作, 放行...");
chain.doFilter(request,response);
return;
}
//3.获取请求头中的令牌(token)。
String jwt = req.getHeader("token");
//4.判断令牌是否存在,如果不存在,返回错误结果(未登录)。
if(!StringUtils.hasLength(jwt)){
log.info("请求头token为空,返回未登录的信息");
Result error = Result.error("NOT_LOGIN");//创建返回的result对象
//手动转换 对象--json --------> 阿里巴巴fastJSON
String notLogin = JSONObject.toJSONString(error);
resp.setContentType("application/json;charset=utf-8");
resp.getWriter().write(notLogin);
return;
}
//5.解析token,如果解析失败,返回错误结果(未登录)。
try {
JwtUtils.parseJWT(jwt);
} catch (Exception e) {//jwt解析失败
e.printStackTrace();
log.info("解析令牌失败, 返回未登录错误信息");
Result error = Result.error("NOT_LOGIN");
//手动转换 对象--json --------> 阿里巴巴fastJSON
String notLogin = JSONObject.toJSONString(error);
resp.getWriter().write(notLogin);
return;
}
//6.放行。
log.info("令牌合法, 放行");
chain.doFilter(request, response);